SQL라이트 기반으로 한 모든 애플리케이션에 영향 있을 수 있어
SQL라이트 개발한 힙 박사, “SQL 인젝션 취약점일 뿐”

[보안뉴스 문가용 기자] 인기 높은 SQL라이트(SQLite) 데이터베이스 관리 시스템을 활용하는 애플리케이션 다수가 사이버 공격에 노출되었을 가능성이 높다고 한다. SQ라이트에서 발견된, 꽤나 위험해 보이는 취약점 때문이다. 이 취약점을 악용할 경우 원격 코드 실행, 정보 노출, 디도스 공격을 실행할 수 있다고 한다.


[이미지 = iclickart]

이 취약점을 발견한 건 중국의 거대 기업인 텐센트(Tencent)의 블레이드 팀(Blade Team)이다. 이곳의 전문가들은 이 취약점에 ‘마젤란(Magellan)’이라는 이름을 붙였으며, SQL라이트나 크로미움(Chromium)을 사용하는 모든 소프트웨어에 영향을 준다고 주장했다. 크로미움은 웹SQL(WebSQL)을 기반으로 하고 있는데, 웹SQL은 다시 SQL라이트를 기본 바탕으로 삼고 있다.

SQL라이트는 현재 가장 인기가 높은 데이터베이스 시스템 중 하나로, 굉장히 많은 OS, 웹 애플리케이션 프레임워크, 웹 브라우저, 다양한 애플리케이션들에서 활용되고 있다. 어도비, MS, 구글 등도 활발하게 SQL라이트를 사용 중에 있다. 브라우저만 봐도 구글의 크롬, 오페라, 슬림젯 브라우저(Slimjet Browser), SR웨어 아이언(SRWare Iron), 토치(Torch), 코모도 드래곤(Comodo Dragon), 쿨노보(CoolNovo), 얀덱스 브라우저(Yandex Browser), 비발디(Vivaldi) 등이 전부 SQL라이트와 관련이 있다.

텐센트 블레이드 팀에 의하면 마젤란 취약점은 원격에서 익스플로잇이 가능하다. 표적이 된 사용자가 특수하게 조작된 웹 페이지에 접근하도록 유도만 하면 말이다. 하지만 텐센트 측은 더 상세한 내용이나 익스플로잇 코드를 공개하지 않고 있다. 안전상의 이유 때문이다. 다만 구글 홈(Google Home) 장비들을 대상으로 실험했을 때 공격에 성공했다고 주장했다.

이 취약점은 SQL라이트 개발자들이 3.26.0 버전을 발표함으로써 패치됐다. 크롬과 크로미움에서 발견된 문제 역시 해결된 상태다(크롬 71). 구글은 이 취약점이 고위험군에 속한다고 평가했으나, 아직까지 텐센트 연구진들에 지급할 보상금의 금액은 결정 못하고 있다고 한다.

하지만 일부 보안 전문가들은 이 패치를 힌트로 삼아 개념증명 익스플로잇 코드를 만드는 데 성공했다. 그리고 이 코드를 통해 크롬과 일렉트론(Electro)이라는 개발 프레임워크를 마비시키는 데 성공했다. 그러나 이 취약점이 실제 해커들의 해킹 공격에 악용된 사례는 아직까지 없는 것으로 조사되고 있다.

SQL라이트의 첫 개발자인 리차드 힙(Richard Hipp) 박사는 “잠재적 공격자가 임의의 SQL을 실행시키도록 허락한 애플리케이션들에만 존재하는 취약점”이라고 이 문제에 대해 언급했다. 사실 해커 뉴스(Hacker News)를 통해서도 한 사용자가 비슷한 의혹을 제기한 바 있는데, 힙 박사가 이를 듣고 확인해본 결과다. 즉 SQL라이트를 사용하는 모든 애플리케이션들에 영향이 있다는 부분은 과장되었다는 것이다.

“만약 애플리케이션에서 공격자의 그러한 행위를 허락했다면, 이 취약점은 기존의 SQL 인젝션 취약점과 다를 게 거의 없습니다. 또한 앱 개발 과정에서 생긴 취약점이지 SQL라이트의 문제는 아닙니다. 다만 크롬의 웹SQL의 경우는 예외적이긴 합니다.”

3줄 요약
1. 전 세계에서 어쩌면 가장 인기 높은 데이터베이스 관리 시스템인 SQL라이트.
2. ‘마젤란’이라는 취약점 발견됐지만, 그 심각성에 대해서는 의견 갈림.
3. SQL라이트는 물론 구글 크롬도 패치되었지만, 현상금 액수 결정 못함.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>